<\/a>Qui est derri\u00e8re la campagne Jingle Thief ?<\/h2>\nNous estimons avec une confiance mod\u00e9r\u00e9e que la campagne Jingle Thief a \u00e9t\u00e9 cr\u00e9\u00e9e par des attaquants bas\u00e9s au Maroc, motiv\u00e9s par le gain financier et actifs depuis 2021. Leurs op\u00e9rations ciblent principalement des entreprises mondiales des secteurs de la vente au d\u00e9tail et des services \u00e0 la consommation. Bien qu'elle ne soit pas affili\u00e9e \u00e0 un \u00c9tat-nation, l'activit\u00e9 que nous suivons sous le nom de CL\u2011CRI\u20111032 comprend des tactiques avanc\u00e9es, de la persistance et une concentration op\u00e9rationnelle.<\/p>\n
Contrairement aux acteurs de la menace qui s'appuient sur des logiciels malveillants courants ou l'exploitation des terminaux (endpoints), les attaquants derri\u00e8re CL\u2011CRI\u20111032 op\u00e8rent presque exclusivement dans des environnements cloud une fois qu'ils ont obtenu des identifiants par hame\u00e7onnage. Ils exploitent l'infrastructure cloud pour usurper l'identit\u00e9 d'utilisateurs l\u00e9gitimes, obtenir un acc\u00e8s non autoris\u00e9 \u00e0 des donn\u00e9es sensibles et commettre des fraudes \u00e0 la carte-cadeau \u00e0 grande \u00e9chelle.<\/p>\n
<\/a>Anatomie de la campagne Jingle Thief<\/h2>\nAu cours d'une campagne que nous avons observ\u00e9e, les acteurs de la menace ont maintenu leur acc\u00e8s pendant environ 10 mois et compromis plus de 60 comptes utilisateurs au sein d'une seule entreprise mondiale. L'activit\u00e9 impliquait l'utilisation de services Microsoft 365, notamment SharePoint, OneDrive, Exchange et Entra ID. Cela a d\u00e9montr\u00e9 un haut degr\u00e9 d'adaptabilit\u00e9 et de patience op\u00e9rationnelle. La d\u00e9tection de cette approche n\u00e9cessite une observation attentive des actions des adversaires sur une longue p\u00e9riode. Les acteurs de la menace derri\u00e8re la campagne Jingle Thief alignent souvent leur activit\u00e9 sur les p\u00e9riodes de vacances, intensifiant leurs op\u00e9rations pendant les p\u00e9riodes de r\u00e9duction des effectifs et d'augmentation des d\u00e9penses en cartes-cadeaux.<\/p>\n
Ayant obtenu l'acc\u00e8s initial, les acteurs de la menace ont effectu\u00e9 une reconnaissance pour cartographier l'environnement, se sont d\u00e9plac\u00e9s lat\u00e9ralement pour acc\u00e9der \u00e0 des zones plus sensibles et ont identifi\u00e9 des opportunit\u00e9s d'ex\u00e9cuter une fraude financi\u00e8re \u00e0 grande \u00e9chelle. La figure 1 illustre le cycle de vie de l'attaque de bout en bout dans Microsoft 365, soulignant comment les acteurs de la menace sont pass\u00e9s d'une entr\u00e9e bas\u00e9e sur l'hame\u00e7onnage \u00e0 un acc\u00e8s persistant via l'enregistrement d'appareils.<\/p>\n![\"S\u00e9quence]()
Figure 1. Cha\u00eene d'attaque par hame\u00e7onnage de Jingle Thief dans Microsoft 365.<\/figcaption><\/figure>\nL'\u00e9tape finale de l'attaque, l'enregistrement de l'appareil, cr\u00e9e une t\u00eate de pont que les acteurs de la menace exploitent pour \u00e9mettre des cartes-cadeaux, qu'ils utilisent ensuite \u00e0 des fins lucratives.<\/p>\n
<\/a>Pourquoi les cartes-cadeaux ? La cible de choix<\/strong><\/h3>\nLes cartes-cadeaux sont tr\u00e8s attrayantes pour les acteurs motiv\u00e9s par le gain financier en raison de leur facilit\u00e9 d'utilisation et de leur mon\u00e9tisation rapide. Les acteurs de la menace revendent les cartes-cadeaux sur des forums du march\u00e9 gris \u00e0 des tarifs r\u00e9duits, permettant un flux de tr\u00e9sorerie quasi instantan\u00e9.<\/p>\n
D'autres facteurs qui rendent les cartes-cadeaux attrayantes incluent :<\/p>\n
\n- Peu d'informations personnelles requises pour leur utilisation<\/li>\n
- Difficiles \u00e0 tracer, ce qui rend la fraude plus difficile \u00e0 investiguer ou \u00e0 recouvrer<\/li>\n
- Largement accept\u00e9es, souvent indiscernables d'une utilisation l\u00e9gitime<\/li>\n
- Utiles pour le blanchiment d'argent \u00e0 faible risque, en particulier entre diff\u00e9rentes juridictions<\/li>\n
- Fr\u00e9quemment \u00e9mises via des syst\u00e8mes avec des contr\u00f4les d'acc\u00e8s faibles, des autorisations internes larges et une surveillance ou une journalisation limit\u00e9e<\/li>\n<\/ul>\n
Les environnements de vente au d\u00e9tail sont particuli\u00e8rement vuln\u00e9rables \u00e0 ce type d'attaque, car les syst\u00e8mes de cartes-cadeaux sont souvent accessibles \u00e0 un large \u00e9ventail d'utilisateurs internes, tels que les employ\u00e9s de magasin. Ces syst\u00e8mes peuvent prendre en charge plusieurs fournisseurs ou programmes, ce qui rend les voies d'acc\u00e8s plus larges et plus difficiles \u00e0 contr\u00f4ler.<\/p>\n
La fraude \u00e0 la carte-cadeau combine furtivit\u00e9, rapidit\u00e9 et scalabilit\u00e9, surtout lorsqu'elle est associ\u00e9e \u00e0 un acc\u00e8s \u00e0 des environnements cloud o\u00f9 r\u00e9sident les flux d'\u00e9mission. Pour exploiter ces syst\u00e8mes, les acteurs de la menace ont besoin d'acc\u00e9der \u00e0 la documentation et aux communications internes. Ils peuvent s'en assurer en volant des identifiants et en maintenant une pr\u00e9sence discr\u00e8te et persistante dans les environnements Microsoft 365 des organisations cibl\u00e9es qui fournissent des services de cartes-cadeaux.<\/p>\n
Dans la campagne que nous avons observ\u00e9e, les attaquants ont fait des tentatives d'acc\u00e8s r\u00e9p\u00e9t\u00e9es contre plusieurs applications d'\u00e9mission de cartes-cadeaux. Ils ont essay\u00e9 d'\u00e9mettre des cartes de grande valeur \u00e0 travers diff\u00e9rents programmes afin de les mon\u00e9tiser, et peut-\u00eatre d'utiliser les cartes comme garantie dans des sch\u00e9mas de blanchiment d'argent \u2014 transformant ainsi le vol num\u00e9rique en esp\u00e8ces intra\u00e7ables ou en pr\u00eats \u00e0 court terme. Ces op\u00e9rations ont \u00e9t\u00e9 mises en sc\u00e8ne de mani\u00e8re \u00e0 minimiser la journalisation et les traces forensiques, r\u00e9duisant ainsi les chances de d\u00e9tection rapide.<\/p>\n
<\/a>Des attaques hautement cibl\u00e9es et personnalis\u00e9es<\/strong><\/h3>\nLes acteurs de la menace derri\u00e8re la campagne Jingle Thief investissent massivement dans la reconnaissance avant de lancer des attaques. Ils collectent des renseignements sur chaque cible, y compris l'image de marque, les portails de connexion, les mod\u00e8les d'e-mails et les conventions de nommage de domaine. Cela leur permet de cr\u00e9er un contenu d'hame\u00e7onnage tr\u00e8s convaincant qui semble authentique \u00e0 la fois pour les utilisateurs et les outils de s\u00e9curit\u00e9.<\/p>\n
Les URL d'hame\u00e7onnage incluent souvent le nom de l'organisation, un outil ou un logiciel tiers de confiance, et des pages de destination qui imitent fid\u00e8lement les \u00e9crans de connexion l\u00e9gitimes. Cette approche d'ing\u00e9nierie sociale hautement personnalis\u00e9e augmente la probabilit\u00e9 de compromission et met en \u00e9vidence l'utilisation par les acteurs de techniques sophistiqu\u00e9es.<\/p>\n
La figure 2 montre une page d'hame\u00e7onnage d'identifiants con\u00e7ue par les acteurs de la menace pour usurper l'identit\u00e9 d'un portail de connexion Microsoft 365 l\u00e9gitime, adapt\u00e9e \u00e0 l'image de marque de l'organisation victime.<\/p>\n![\"Capture]()
Figure 2. Fausse page de connexion Microsoft 365 adapt\u00e9e \u00e0 l'organisation cible.<\/figcaption><\/figure>\n<\/a>Acc\u00e8s initial : hame\u00e7onnage et hame\u00e7onnage par SMS pour obtenir des identifiants cloud<\/strong><\/h3>\nLes acteurs de la menace derri\u00e8re la campagne Jingle Thief commencent g\u00e9n\u00e9ralement leurs op\u00e9rations par des attaques d'hame\u00e7onnage ou de smishing (hame\u00e7onnage par SMS) personnalis\u00e9es. Ces messages attirent les victimes vers de faux portails de connexion Microsoft 365 qui imitent les pages de connexion l\u00e9gitimes. Certains leurres usurpent l'identit\u00e9 d'organisations \u00e0 but non lucratif ou non gouvernementales (ONG), probablement pour donner une apparence de cr\u00e9dibilit\u00e9 et augmenter l'engagement des victimes.<\/p>\n
Notamment, de nombreux messages sont d\u00e9livr\u00e9s \u00e0 l'aide de scripts d'envoi d'e-mails PHP auto-h\u00e9berg\u00e9s, souvent envoy\u00e9s depuis des serveurs WordPress compromis ou d\u00e9tourn\u00e9s, ce qui masque l'origine des attaquants et am\u00e9liore la d\u00e9livrabilit\u00e9.<\/p>\n
Les acteurs de la menace emploient \u00e9galement un formatage d'URL trompeur, tel que :<\/p>\n
https:\/\/organization[.]com@malicious.cl[\/]workspace<\/span><\/p>\nBien que l'URL ci-dessus semble pointer vers le domaine l\u00e9gitime de l'organisation (organisation.com<\/span>), les navigateurs interpr\u00e8tent tout ce qui pr\u00e9c\u00e8de le @ comme des informations d'identification utilisateur, et naviguent en fait vers le domaine qui le suit (malicious.cl<\/span>). Cette tactique aide \u00e0 d\u00e9guiser la v\u00e9ritable destination du lien et augmente la probabilit\u00e9 que les victimes cliquent.<\/p>\nApr\u00e8s avoir collect\u00e9 des identifiants dans la campagne que nous avons observ\u00e9e, les attaquants se sont authentifi\u00e9s directement aupr\u00e8s de Microsoft 365 et ont commenc\u00e9 \u00e0 naviguer dans l'environnement, sans qu'aucun logiciel malveillant ne soit n\u00e9cessaire. La figure 3 montre une tentative de smishing utilis\u00e9e pour collecter des identifiants, captur\u00e9e \u00e0 partir d'un journal d'envoi d'e-mails PHP malveillant de l'infrastructure des attaquants. Le message provenait d'une adresse IP marocaine et \u00e9tait envoy\u00e9 \u00e0 une passerelle SMS de Verizon (vtext.com<\/span>).<\/p>\n![\"Capture]()
Figure 3. Hame\u00e7onnage d'identifiants par smishing, journalis\u00e9 depuis l'infrastructure des attaquants.<\/figcaption><\/figure>\n<\/a>Reconnaissance dans le cloud : exploration de SharePoint et OneDrive \u00e0 la recherche d'informations sur les cartes-cadeaux<\/strong><\/h3>\nApr\u00e8s l'acc\u00e8s initial, les attaquants derri\u00e8re Jingle Thief effectuent une reconnaissance approfondie au sein de l'environnement Microsoft 365, en se concentrant particuli\u00e8rement sur SharePoint et OneDrive. Ces services contiennent fr\u00e9quemment de la documentation interne relative aux op\u00e9rations commerciales, aux processus financiers et aux flux de travail informatiques.<\/p>\n
Les acteurs de la menace recherchent :<\/p>\n
\n- Les flux d'\u00e9mission de cartes-cadeaux<\/li>\n
- Les exports ou instructions du syst\u00e8me de tickets<\/li>\n
- Les guides de configuration et d'acc\u00e8s VPN<\/li>\n
- Les feuilles de calcul ou outils internes utilis\u00e9s pour \u00e9mettre ou suivre les cartes-cadeaux<\/li>\n
- Les machines virtuelles organisationnelles, les environnements Citrix<\/li>\n<\/ul>\n
La figure 4 montre les fichiers SharePoint auxquels les acteurs de la menace ont acc\u00e9d\u00e9 apr\u00e8s la compromission du compte, r\u00e9v\u00e9lant leur concentration sur la documentation interne li\u00e9e aux flux de travail des cartes-cadeaux et \u00e0 l'infrastructure d'acc\u00e8s \u00e0 distance.<\/p>\n![\"Capture]()
Figure 4. Fichiers SharePoint internes consult\u00e9s par Jingle Thief apr\u00e8s la compromission.<\/figcaption><\/figure>\nPlut\u00f4t que d'\u00e9lever leurs privil\u00e8ges, les acteurs de la menace d\u00e9veloppent une connaissance de la situation en acc\u00e9dant aux donn\u00e9es facilement disponibles sur les utilisateurs compromis. Cette approche discr\u00e8te aide \u00e0 \u00e9chapper \u00e0 la d\u00e9tection tout en pr\u00e9parant le terrain pour de futures fraudes.<\/p>\n
<\/a>Hame\u00e7onnage interne pour les mouvements lat\u00e9raux<\/strong><\/h3>\nAu lieu de d\u00e9ployer des logiciels malveillants ou des frameworks de post-exploitation, Jingle Thief s'appuie sur l'hame\u00e7onnage interne pour \u00e9tendre sa pr\u00e9sence au sein des environnements cibles. Lors d'une tentative d'attaque contre l'un de nos clients, apr\u00e8s avoir compromis le compte Microsoft 365 d'un utilisateur, les attaquants ont envoy\u00e9 des e-mails d'hame\u00e7onnage depuis le compte l\u00e9gitime \u00e0 du personnel au sein de la m\u00eame organisation. Ces messages imitaient des notifications de service informatique ou des mises \u00e0 jour de tickets, tirant souvent parti des informations recueillies dans la documentation interne ou les communications pr\u00e9c\u00e9dentes pour para\u00eetre l\u00e9gitimes.<\/p>\n
Leurres courants :<\/p>\n
\n- Fausses alertes ServiceNow : \u00ab INCIDENT REQ07672026 a \u00e9t\u00e9 compl\u00e9t\u00e9<\/em> \u00bb<\/li>\n
- Notifications d'acc\u00e8s informatique : \u00ab Avis d'inactivit\u00e9 du compte ServiceNow<\/em> \u00bb<\/li>\n
- Invites d'approbation g\u00e9n\u00e9riques : \u00ab Incident en attente de votre examen<\/em> \u00bb<\/li>\n<\/ul>\n
Ces e-mails renvoient vers de faux portails de connexion arborant l'identit\u00e9 de l'organisation, exploitant la confiance interne pour \u00e9chapper aux soup\u00e7ons et se propager lat\u00e9ralement.<\/p>\n
La figure 5 montre un e-mail d'hame\u00e7onnage interne envoy\u00e9 depuis un compte compromis, usurpant une notification d'inactivit\u00e9 de ServiceNow pour inciter les utilisateurs \u00e0 saisir leurs identifiants.<\/p>\n![\"Une]()
Figure 5. E-mail d'hame\u00e7onnage interne imitant une notification ServiceNow.<\/figcaption><\/figure>\n<\/a>Contr\u00f4ler la bo\u00eete de r\u00e9ception pour une exfiltration silencieuse d'e-mails<\/strong><\/h3>\nPour surveiller passivement les communications internes, les attaquants responsables de la campagne Jingle Thief cr\u00e9ent souvent des r\u00e8gles de bo\u00eete de r\u00e9ception pour transf\u00e9rer automatiquement les e-mails vers des adresses contr\u00f4l\u00e9es par l'attaquant.<\/p>\n
Ils surveillent :<\/p>\n
\n- Les approbations de cartes-cadeaux<\/li>\n
- Les flux financiers<\/li>\n
- La billetterie informatique ou les modifications de compte<\/li>\n<\/ul>\n
Cette approche r\u00e9duit le besoin d'interaction active de l'attaquant et aide \u00e0 maintenir la furtivit\u00e9. La figure 6 montre une alerte signalant la cr\u00e9ation d'une r\u00e8gle de transfert de bo\u00eete de r\u00e9ception malveillante, qui est l'une des tactiques furtives employ\u00e9es par ces acteurs de la menace pour surveiller les communications internes.<\/p>\n![\"Capture]()
Figure 6. Alerte Cortex XDR montrant une r\u00e8gle de transfert automatique d'e-mails configur\u00e9e par les acteurs de la menace.<\/figcaption><\/figure>\n<\/a>Activit\u00e9 e-mail furtive : se cacher \u00e0 la vue de tous<\/strong><\/h3>\nPour couvrir leurs traces, les attaquants g\u00e8rent activement les dossiers de la bo\u00eete aux lettres :<\/p>\n
\n- D\u00e9placement imm\u00e9diat des e-mails d'hame\u00e7onnage envoy\u00e9s des \u00c9l\u00e9ments envoy\u00e9s<\/span> vers les \u00c9l\u00e9ments supprim\u00e9s<\/span><\/li>\n
- D\u00e9placement des r\u00e9ponses des utilisateurs de la Bo\u00eete<\/span> de r\u00e9ception vers les \u00c9l\u00e9ments supprim\u00e9s<\/span><\/li>\n<\/ul>\n
Cela garantit que les victimes ne verront pas les messages d'hame\u00e7onnage ou les r\u00e9ponses, retardant la d\u00e9couverte \u00e0 la fois par les victimes et les d\u00e9fenseurs.<\/p>\n
Les journaux d'audit Exchange de la figure 7 montrent les attaquants d\u00e9pla\u00e7ant les r\u00e9ponses aux e-mails d'hame\u00e7onnage du dossier Bo\u00eete de r\u00e9ception vers le dossier \u00c9l\u00e9ments supprim\u00e9s.<\/p>\n![\"Capture]()
Figure 7. \u00c9l\u00e9ments d\u00e9plac\u00e9s de la Bo\u00eete de r\u00e9ception vers les \u00c9l\u00e9ments supprim\u00e9s.<\/figcaption><\/figure>\n<\/a>Dominer les appareils non autoris\u00e9s pour la persistance<\/strong><\/h3>\nLa plupart des intrusions que nous avons observ\u00e9es dans la campagne Jingle Thief reposaient sur des identifiants vol\u00e9s ou des jetons de session pour un acc\u00e8s temporaire. Cependant, les acteurs ont \u00e9galement d\u00e9montr\u00e9 des techniques pour \u00e9tablir une persistance \u00e0 plus long terme au sein des environnements compromis.<\/p>\n
Dans certaines intrusions, les acteurs de la menace ont pris le contr\u00f4le de l'infrastructure d'identit\u00e9 en d\u00e9tournant les m\u00e9canismes l\u00e9gitimes de libre-service utilisateur et d'enregistrement d'appareils dans Microsoft Entra ID. Ces tactiques leur ont permis de maintenir l'acc\u00e8s m\u00eame apr\u00e8s la r\u00e9initialisation des mots de passe ou la r\u00e9vocation des sessions.<\/p>\n
Les tactiques comprennent :<\/p>\n
\n- L'enregistrement d'applications d'authentification frauduleuses pour contourner le MFA (authentification multifacteur)<\/li>\n
- La r\u00e9initialisation des mots de passe via les flux de libre-service<\/li>\n
- L'enr\u00f4lement d'appareils contr\u00f4l\u00e9s par l'attaquant dans Entra ID<\/li>\n<\/ul>\n
La figure 8 montre l'interface utilisateur pour enregistrer un appareil dans Microsoft Entra ID \u00e0 l'aide de l'application Authenticator. Les attaquants ont d\u00e9tourn\u00e9 ce processus l\u00e9gitime pour enr\u00f4ler silencieusement des appareils non autoris\u00e9s et maintenir un acc\u00e8s r\u00e9sistant au MFA.<\/p>\n![\"Capture]()
Figure 8. Flux d'enregistrement d'appareil dans Microsoft Entra ID.<\/figcaption><\/figure>\nL'objectif ultime de ces diverses tactiques \u2013 hame\u00e7onnage, contr\u00f4le de la bo\u00eete de r\u00e9ception, exfiltration d'e-mails et enregistrement d'appareils non autoris\u00e9s \u2013 est d'obtenir et de mon\u00e9tiser des cartes-cadeaux \u00e0 grande \u00e9chelle.<\/p>\n
<\/a>Remonter aux racines marocaines de Jingle Thief<\/h2>\nLes activit\u00e9s de la campagne que nous avons observ\u00e9es provenaient presque exclusivement d'adresses IP g\u00e9olocalis\u00e9es au Maroc. \u00c0 travers les incidents, les journaux Microsoft 365 ont montr\u00e9 des empreintes d'appareils et des comportements de connexion r\u00e9currents associ\u00e9s \u00e0 ces adresses IP. Contrairement \u00e0 de nombreux acteurs qui se cachent derri\u00e8re des VPN, ces acteurs de la menace n'ont souvent fait aucune tentative pour masquer leur origine, et n'ont que parfois utilis\u00e9 Mysterium VPN lors de l'acc\u00e8s aux comptes compromis.<\/p>\n
Les m\u00e9tadonn\u00e9es du num\u00e9ro de syst\u00e8me autonome (ASN) des connexions correspondaient \u00e9galement de mani\u00e8re coh\u00e9rente aux fournisseurs de t\u00e9l\u00e9communications marocains, notamment :<\/p>\n
\n- MT-MPLS<\/li>\n
- ASMedi<\/li>\n
- MAROCCONNECT<\/li>\n<\/ul>\n
En plus de l'infrastructure IP et ASN, Jingle Thief r\u00e9utilise des structures de domaine et d'URL distinctives \u00e0 travers les campagnes. Ces sch\u00e9mas r\u00e9currents dans la d\u00e9nomination de domaine et l'infrastructure soutiennent davantage l'attribution \u00e0 un groupe de menace bas\u00e9 au Maroc.<\/p>\n
<\/a>Conclusion<\/h2>\nLa campagne Jingle Thief d\u00e9montre une concentration claire sur les syst\u00e8mes d'\u00e9mission de cartes-cadeaux des grands d\u00e9taillants. Les attaquants ont cibl\u00e9 plusieurs applications d'\u00e9mission pour g\u00e9n\u00e9rer des cartes de grande valeur, probablement pour les revendre sur les march\u00e9s gris, ou comme actifs fongibles dans des cha\u00eenes de blanchiment d'argent. Les syst\u00e8mes de cartes-cadeaux sont souvent sous-surveill\u00e9s et largement accessibles en interne, ce qui en fait une extension attrayante des attaques bas\u00e9es sur l'identit\u00e9 : en compromettant les bons comptes, les acteurs de la menace peuvent \u00e9mettre et voler des cartes-cadeaux, tout en ne laissant presque aucune trace de leurs op\u00e9rations malveillantes.<\/p>\n
Le cluster d'activit\u00e9 derri\u00e8re la campagne Jingle Thief recoupe l'activit\u00e9 d'acteurs de la menace publiquement connus sous le nom d'Atlas Lion. Ce cluster \u2014 suivi par l'Unit 42 sous le nom de CL-CRI-1032 \u2014 privil\u00e9gie l'abus d'identit\u00e9 aux logiciels malveillants, et exploite les services cloud de confiance plut\u00f4t que la compromission des terminaux. Leurs campagnes soulignent comment les attaquants peuvent op\u00e9rer enti\u00e8rement dans des environnements cloud, abusant des fonctionnalit\u00e9s l\u00e9gitimes pour l'hame\u00e7onnage, la persistance et la fraude.<\/p>\n
En comprenant les tactiques utilis\u00e9es dans la campagne Jingle Thief, les d\u00e9fenseurs peuvent mieux prioriser la surveillance bas\u00e9e sur l'identit\u00e9 et s'adapter \u00e0 la transition de l'industrie vers le traitement de l'identit\u00e9 comme nouveau p\u00e9rim\u00e8tre de s\u00e9curit\u00e9. Comprendre le comportement des utilisateurs, les sch\u00e9mas de connexion et l'abus d'identit\u00e9 est de plus en plus essentiel pour une d\u00e9tection et une r\u00e9ponse pr\u00e9coces.<\/p>\n
Les clients de Palo Alto Networks sont mieux prot\u00e9g\u00e9s contre cette activit\u00e9 avec le nouveau module Cortex Advanced Email Security<\/a>, ainsi que Cortex UEBA<\/a> et ITDR<\/a>.<\/p>\nSi vous pensez avoir \u00e9t\u00e9 compromis ou si vous avez une question urgente, contactez l'\u00e9quipe d'intervention sur incident de l'Unit 42<\/a> ou appelez :<\/p>\n\n- Am\u00e9rique du Nord : Num\u00e9ro gratuit : +1 (866) 486-4842 (866.4.UNIT42)<\/li>\n
- Royaume-Uni : +44.20.3743.3660<\/li>\n
- Europe et Moyen-Orient : +31.20.299.3130<\/li>\n
- Asie : +65.6983.8730<\/li>\n
- Japon : +81.50.1790.0200<\/li>\n
- Australie : +61.2.4062.7950<\/li>\n
- Inde : 00080005045107<\/li>\n<\/ul>\n
Palo Alto Networks a partag\u00e9 ces d\u00e9couvertes avec les autres membres de la Cyber Threat Alliance (CTA). Les membres de la CTA utilisent ces renseignements pour d\u00e9ployer rapidement des protections \u00e0 leurs clients et pour perturber syst\u00e9matiquement les cyberacteurs malveillants. En savoir plus sur la Cyber Threat Alliance<\/a>.<\/p>\n<\/a>Indicateurs de compromission<\/h2>\nInfrastructure marocaine (Signal d'attribution)<\/span><\/strong><\/p>\n\n- 105.156.109[.]227<\/span><\/li>\n
- 105.156.234[.]139\u200b\u200b<\/span><\/li>\n
- 105.157.86[.]136<\/span><\/li>\n
- 105.158.226[.]49<\/span><\/li>\n
- 105.158.237[.]165<\/span><\/li>\n
- 160.176.128[.]242<\/span><\/li>\n
- 160.178.201[.]89<\/span><\/li>\n
- 160.179.102[.]157<\/span><\/li>\n
- 196.64.165[.]160<\/span><\/li>\n
- 196.65.139[.]51<\/span><\/li>\n
- 196.65.146[.]114<\/span><\/li>\n
- 196.65.172[.]48<\/span><\/li>\n
- 196.65.237[.]97<\/span><\/li>\n
- 196.74.125[.]243<\/span><\/li>\n
- 196.74.183[.]81<\/span><\/li>\n
- 196.77.47[.]232<\/span><\/li>\n
- 196.89.141[.]80<\/span><\/li>\n
- 41.141.201[.]19<\/span><\/li>\n
- 41.250.180[.]114<\/span><\/li>\n
- 41.250.190[.]104<\/span><\/li>\n<\/ul>\n
Organisations ASN associ\u00e9es (G\u00e9olocalis\u00e9es au Maroc)<\/strong><\/p>\n\n- MT-MPLS<\/span><\/li>\n
- ASMedi<\/span><\/li>\n
- MAROCCONNECT<\/span><\/li>\n<\/ul>\n
Infrastructure am\u00e9ricaine (H\u00f4tes proxy potentiels ou compromis)<\/strong><\/p>\n\n- 70.187.192[.]236<\/span><\/li>\n
- 72.49.91[.]23<\/span><\/li>\n<\/ul>\n
Sch\u00e9mas d'URL d'hame\u00e7onnage\u00a0<\/strong><\/p>\n\n- hxxps:\/\/*.com.ng\/*[brand-name].com\/home\/<\/span><\/li>\n
- hxxps:\/\/*.[brand-name].servicenow.*\/*access<\/span><\/li>\n
- hxxps:\/\/[brand-name].com@*.*\/portal\/<\/span><\/li>\n
- hxxps:\/\/[brand-name].com@*.*\/workspace<\/span><\/li>\n
- hxxps:\/\/*\/home<\/span><\/li>\n
- hxxps:\/\/*\/workspace\/home<\/span><\/li>\n<\/ul>\n
<\/a>Ressources suppl\u00e9mentaires<\/h2>\n\n- Cyber Signals: Into the Lion's Den<\/a> \u2013 Microsoft<\/li>\n
- Threat Actors Target Gift Card Issuing Systems<\/a> \u2013 Intel471<\/li>\n<\/ul>\n
<\/a>Alertes Cortex XDR\/XSIAM sur l'activit\u00e9 Jingle Thief<\/h2>\nLe tableau 1 montre les alertes Cortex pour cette activit\u00e9, en utilisant Identity Analytics, y compris les indicateurs de compromission comportementaux (BIOC) et le module ITDR.<\/p>\n
\n\n\nNom de l'alerte<\/strong><\/td>\nSource de l'alerte<\/strong><\/td>\nTechnique MITRE ATT&CK<\/strong><\/td>\n<\/tr>\n\nR\u00e8gle de transfert de bo\u00eete de r\u00e9ception Exchange configur\u00e9e<\/a><\/td>\n XDR Analytics BIOC, Module Identity Threat (ITDR)<\/td>\n Dissimulation d'artefacts : R\u00e8gles de masquage d'e-mails (T1564.008)<\/td>\n<\/tr>\n \nUtilisateur a d\u00e9plac\u00e9 des messages envoy\u00e9s Exchange vers les \u00e9l\u00e9ments supprim\u00e9s<\/a><\/td>\n XDR Analytics, Module Identity Threat (ITDR)<\/td>\n Suppression d'indicateurs : Effacer les donn\u00e9es de la bo\u00eete aux lettres (T1070.008)<\/td>\n<\/tr>\n \nPremi\u00e8re connexion depuis un pays dans l'organisation<\/a><\/td>\n XDR Analytics BIOC, Identity Analytics<\/td>\n Compromission de comptes (T1586)<\/td>\n<\/tr>\n \nPremier acc\u00e8s SSO depuis un ASN dans l'organisation<\/a><\/td>\n XDR Analytics BIOC, Identity Analytics<\/td>\n Comptes valides : Comptes de domaine (T1078.002)<\/td>\n<\/tr>\n \nVoyageur impossible - SSO<\/a><\/td>\n XDR Analytics, Identity Analytics<\/td>\n Compromission de comptes (T1586)<\/td>\n<\/tr>\n \nUn utilisateur s'est connect\u00e9 depuis un nouveau pays<\/a><\/td>\n XDR Analytics BIOC, Identity Analytics<\/td>\n Compromission de comptes (T1586)<\/td>\n<\/tr>\n \nPremier acc\u00e8s SSO depuis un ASN pour l'utilisateur<\/a><\/td>\n XDR Analytics BIOC, Identity Analytics<\/td>\n Comptes valides : Comptes de domaine (T1078.002)<\/td>\n<\/tr>\n \nUn utilisateur s'est connect\u00e9 \u00e0 un VPN depuis un nouveau pays<\/a><\/td>\n XDR Analytics BIOC, Identity Analytics<\/td>\n Compromission de comptes (T1586)<\/td>\n<\/tr>\n \nAcc\u00e8s VPN avec un syst\u00e8me d'exploitation anormal<\/a><\/td>\n XDR Analytics BIOC, Identity Analytics<\/td>\n Comptes valides : Comptes de domaine (T1078.002)<\/td>\n<\/tr>\n \nPremier acc\u00e8s VPN depuis un ASN dans l'organisation<\/a><\/td>\n XDR Analytics BIOC, Identity Analytics<\/td>\n Comptes valides : Comptes de domaine (T1078.002)<\/td>\n<\/tr>\n \nPremier acc\u00e8s \u00e0 une ressource SSO dans l'organisation<\/a><\/td>\n XDR Analytics BIOC, Identity Analytics<\/td>\n Comptes valides : Comptes de domaine (T1078.002)<\/td>\n<\/tr>\n \nAcc\u00e8s SSO suspect depuis un ASN<\/a><\/td>\n XDR Analytics BIOC, Identity Analytics<\/td>\n Comptes valides : Comptes de domaine (T1078.002)<\/td>\n<\/tr>\n \nUne connexion possiblement risqu\u00e9e \u00e0 Azure<\/a><\/td>\n XDR Analytics BIOC, Identity Analytics<\/td>\n Compromission de comptes (T1586)<\/td>\n<\/tr>\n \nUtilisateur a tent\u00e9 de se connecter depuis un pays suspect<\/a><\/td>\n XDR Analytics BIOC, Identity Analytics<\/td>\n Compromission de comptes (T1586)<\/td>\n<\/tr>\n \nSSO avec un nouveau syst\u00e8me d'exploitation<\/a><\/td>\n XDR Analytics BIOC, Identity Analytics<\/td>\n Comptes valides : Comptes de domaine (T1078.002)<\/td>\n<\/tr>\n \nT\u00e9l\u00e9chargements massifs de fichiers depuis un service SaaS<\/a><\/td>\n XDR Analytics, Module Identity Threat (ITDR)<\/td>\n Donn\u00e9es depuis le stockage cloud (T1530)<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n <\/p>\n","protected":false},"excerpt":{"rendered":"
Les acteurs malveillants derri\u00e8re la campagne de fraude aux cartes cadeaux Jingle Thief ciblent le secteur du retail via des techniques de phishing et de smishing, maintenant un acc\u00e8s persistant dans les environnements cloud.<\/p>\n","protected":false},"author":366,"featured_media":161507,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"inline_featured_image":false,"footnotes":""},"categories":[8733,8724,8832],"tags":[9707,9379,9266,9708],"product_categories":[9041,9151],"coauthors":[8605,3774],"class_list":["post-161721","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-cybercrime-fr","category-cloud-cybersecurity-research-fr","category-threat-research-fr","tag-clcri1032-fr","tag-microsoft-fr","tag-phishing-fr","tag-smishing-fr","product_categories-cortex-fr","product_categories-unit-42-incident-response-fr"],"yoast_head":"\n
Jingle Thief : Au c\u0153ur d'une campagne de fraude \u00e0 la carte-cadeau centr\u00e9e sur le cloud<\/title>\n<meta name=\"description\" content=\"Les acteurs malveillants derri\u00e8re la campagne de fraude aux cartes cadeaux Jingle Thief ciblent le secteur du retail via des techniques de phishing et de smishing, maintenant un acc\u00e8s persistant dans les environnements cloud.\" \/>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/unit42.paloaltonetworks.com\/fr\/cloud-based-gift-card-fraud-campaign\/\" \/>\n<meta property=\"og:locale\" content=\"fr_FR\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"Jingle Thief : Au c\u0153ur d'une campagne de fraude \u00e0 la carte-cadeau centr\u00e9e sur le cloud\" \/>\n<meta property=\"og:description\" content=\"Les acteurs malveillants derri\u00e8re la campagne de fraude aux cartes cadeaux Jingle Thief ciblent le secteur du retail via des techniques de phishing et de smishing, maintenant un acc\u00e8s persistant dans les environnements cloud.\" \/>\n<meta property=\"og:url\" content=\"https:\/\/unit42.paloaltonetworks.com\/fr\/cloud-based-gift-card-fraud-campaign\/\" \/>\n<meta property=\"og:site_name\" content=\"Unit 42\" \/>\n<meta property=\"article:published_time\" content=\"2025-10-22T10:00:58+00:00\" \/>\n<meta property=\"og:image\" content=\"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/10\/07_Cybercrime_Category_1920x900.jpg\" \/>\n\t<meta property=\"og:image:width\" content=\"1920\" \/>\n\t<meta property=\"og:image:height\" content=\"900\" \/>\n\t<meta property=\"og:image:type\" content=\"image\/jpeg\" \/>\n<meta name=\"author\" content=\"Stav Setty, Shachar Roitman\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<!-- \/ Yoast SEO Premium plugin. -->","yoast_head_json":{"title":"Jingle Thief : Au c\u0153ur d'une campagne de fraude \u00e0 la carte-cadeau centr\u00e9e sur le cloud","description":"Les acteurs malveillants derri\u00e8re la campagne de fraude aux cartes cadeaux Jingle Thief ciblent le secteur du retail via des techniques de phishing et de smishing, maintenant un acc\u00e8s persistant dans les environnements cloud.","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/unit42.paloaltonetworks.com\/fr\/cloud-based-gift-card-fraud-campaign\/","og_locale":"fr_FR","og_type":"article","og_title":"Jingle Thief : Au c\u0153ur d'une campagne de fraude \u00e0 la carte-cadeau centr\u00e9e sur le cloud","og_description":"Les acteurs malveillants derri\u00e8re la campagne de fraude aux cartes cadeaux Jingle Thief ciblent le secteur du retail via des techniques de phishing et de smishing, maintenant un acc\u00e8s persistant dans les environnements cloud.","og_url":"https:\/\/unit42.paloaltonetworks.com\/fr\/cloud-based-gift-card-fraud-campaign\/","og_site_name":"Unit 42","article_published_time":"2025-10-22T10:00:58+00:00","og_image":[{"width":1920,"height":900,"url":"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/10\/07_Cybercrime_Category_1920x900.jpg","type":"image\/jpeg"}],"author":"Stav Setty, Shachar Roitman","twitter_card":"summary_large_image","schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"Article","@id":"https:\/\/unit42.paloaltonetworks.com\/fr\/cloud-based-gift-card-fraud-campaign\/#article","isPartOf":{"@id":"https:\/\/unit42.paloaltonetworks.com\/fr\/cloud-based-gift-card-fraud-campaign\/"},"author":{"name":"Sheida Azimi","@id":"https:\/\/unit42.paloaltonetworks.com\/#\/schema\/person\/7ee97ec6f224446d57c0383eb5fd3639"},"headline":"Jingle Thief : Au c\u0153ur d'une campagne de fraude \u00e0 la carte-cadeau centr\u00e9e sur le cloud","datePublished":"2025-10-22T10:00:58+00:00","mainEntityOfPage":{"@id":"https:\/\/unit42.paloaltonetworks.com\/fr\/cloud-based-gift-card-fraud-campaign\/"},"wordCount":4032,"image":{"@id":"https:\/\/unit42.paloaltonetworks.com\/fr\/cloud-based-gift-card-fraud-campaign\/#primaryimage"},"thumbnailUrl":"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/10\/07_Cybercrime_Category_1920x900.jpg","keywords":["CL\u2011CRI\u20111032","Microsoft","phishing","smishing"],"articleSection":["Cybercrime","\u00c9tudes sur la cybers\u00e9curit\u00e9 du cloud","Recherche sur les menaces"],"inLanguage":"fr-FR"},{"@type":"WebPage","@id":"https:\/\/unit42.paloaltonetworks.com\/fr\/cloud-based-gift-card-fraud-campaign\/","url":"https:\/\/unit42.paloaltonetworks.com\/fr\/cloud-based-gift-card-fraud-campaign\/","name":"Jingle Thief : Au c\u0153ur d'une campagne de fraude \u00e0 la carte-cadeau centr\u00e9e sur le cloud","isPartOf":{"@id":"https:\/\/unit42.paloaltonetworks.com\/#website"},"primaryImageOfPage":{"@id":"https:\/\/unit42.paloaltonetworks.com\/fr\/cloud-based-gift-card-fraud-campaign\/#primaryimage"},"image":{"@id":"https:\/\/unit42.paloaltonetworks.com\/fr\/cloud-based-gift-card-fraud-campaign\/#primaryimage"},"thumbnailUrl":"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/10\/07_Cybercrime_Category_1920x900.jpg","datePublished":"2025-10-22T10:00:58+00:00","author":{"@id":"https:\/\/unit42.paloaltonetworks.com\/#\/schema\/person\/7ee97ec6f224446d57c0383eb5fd3639"},"description":"Les acteurs malveillants derri\u00e8re la campagne de fraude aux cartes cadeaux Jingle Thief ciblent le secteur du retail via des techniques de phishing et de smishing, maintenant un acc\u00e8s persistant dans les environnements cloud.","breadcrumb":{"@id":"https:\/\/unit42.paloaltonetworks.com\/fr\/cloud-based-gift-card-fraud-campaign\/#breadcrumb"},"inLanguage":"fr-FR","potentialAction":[{"@type":"ReadAction","target":["https:\/\/unit42.paloaltonetworks.com\/fr\/cloud-based-gift-card-fraud-campaign\/"]}]},{"@type":"ImageObject","inLanguage":"fr-FR","@id":"https:\/\/unit42.paloaltonetworks.com\/fr\/cloud-based-gift-card-fraud-campaign\/#primaryimage","url":"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/10\/07_Cybercrime_Category_1920x900.jpg","contentUrl":"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/10\/07_Cybercrime_Category_1920x900.jpg","width":1920,"height":900,"caption":"Pictorial representation of a gift card fraud campaign. A glowing skull and crossbones on a circuit board."},{"@type":"BreadcrumbList","@id":"https:\/\/unit42.paloaltonetworks.com\/fr\/cloud-based-gift-card-fraud-campaign\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Home","item":"https:\/\/unit42.paloaltonetworks.com\/"},{"@type":"ListItem","position":2,"name":"Jingle Thief : Au c\u0153ur d'une campagne de fraude \u00e0 la carte-cadeau centr\u00e9e sur le cloud"}]},{"@type":"WebSite","@id":"https:\/\/unit42.paloaltonetworks.com\/#website","url":"https:\/\/unit42.paloaltonetworks.com\/","name":"Unit 42","description":"Palo Alto Networks","potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/unit42.paloaltonetworks.com\/?s={search_term_string}"},"query-input":{"@type":"PropertyValueSpecification","valueRequired":true,"valueName":"search_term_string"}}],"inLanguage":"fr-FR"},{"@type":"Person","@id":"https:\/\/unit42.paloaltonetworks.com\/#\/schema\/person\/7ee97ec6f224446d57c0383eb5fd3639","name":"Sheida Azimi","image":{"@type":"ImageObject","inLanguage":"fr-FR","@id":"https:\/\/unit42.paloaltonetworks.com\/#\/schema\/person\/image\/4ffb3c2d260a0150fb91b3715442f8b3","url":"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2018\/11\/unit-news-meta.svg","contentUrl":"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2018\/11\/unit-news-meta.svg","caption":"Sheida Azimi"},"url":"https:\/\/unit42.paloaltonetworks.com\/fr\/author\/sheida-azimi\/"}]}},"_links":{"self":[{"href":"https:\/\/unit42.paloaltonetworks.com\/fr\/wp-json\/wp\/v2\/posts\/161721","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/unit42.paloaltonetworks.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/unit42.paloaltonetworks.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/unit42.paloaltonetworks.com\/fr\/wp-json\/wp\/v2\/users\/366"}],"replies":[{"embeddable":true,"href":"https:\/\/unit42.paloaltonetworks.com\/fr\/wp-json\/wp\/v2\/comments?post=161721"}],"version-history":[{"count":2,"href":"https:\/\/unit42.paloaltonetworks.com\/fr\/wp-json\/wp\/v2\/posts\/161721\/revisions"}],"predecessor-version":[{"id":161929,"href":"https:\/\/unit42.paloaltonetworks.com\/fr\/wp-json\/wp\/v2\/posts\/161721\/revisions\/161929"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/unit42.paloaltonetworks.com\/fr\/wp-json\/wp\/v2\/media\/161507"}],"wp:attachment":[{"href":"https:\/\/unit42.paloaltonetworks.com\/fr\/wp-json\/wp\/v2\/media?parent=161721"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/unit42.paloaltonetworks.com\/fr\/wp-json\/wp\/v2\/categories?post=161721"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/unit42.paloaltonetworks.com\/fr\/wp-json\/wp\/v2\/tags?post=161721"},{"taxonomy":"product_categories","embeddable":true,"href":"https:\/\/unit42.paloaltonetworks.com\/fr\/wp-json\/wp\/v2\/product_categories?post=161721"},{"taxonomy":"author","embeddable":true,"href":"https:\/\/unit42.paloaltonetworks.com\/fr\/wp-json\/wp\/v2\/coauthors?post=161721"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
Au cours d'une campagne que nous avons observ\u00e9e, les acteurs de la menace ont maintenu leur acc\u00e8s pendant environ 10 mois et compromis plus de 60 comptes utilisateurs au sein d'une seule entreprise mondiale. L'activit\u00e9 impliquait l'utilisation de services Microsoft 365, notamment SharePoint, OneDrive, Exchange et Entra ID. Cela a d\u00e9montr\u00e9 un haut degr\u00e9 d'adaptabilit\u00e9 et de patience op\u00e9rationnelle. La d\u00e9tection de cette approche n\u00e9cessite une observation attentive des actions des adversaires sur une longue p\u00e9riode. Les acteurs de la menace derri\u00e8re la campagne Jingle Thief alignent souvent leur activit\u00e9 sur les p\u00e9riodes de vacances, intensifiant leurs op\u00e9rations pendant les p\u00e9riodes de r\u00e9duction des effectifs et d'augmentation des d\u00e9penses en cartes-cadeaux.<\/p>\n
Ayant obtenu l'acc\u00e8s initial, les acteurs de la menace ont effectu\u00e9 une reconnaissance pour cartographier l'environnement, se sont d\u00e9plac\u00e9s lat\u00e9ralement pour acc\u00e9der \u00e0 des zones plus sensibles et ont identifi\u00e9 des opportunit\u00e9s d'ex\u00e9cuter une fraude financi\u00e8re \u00e0 grande \u00e9chelle. La figure 1 illustre le cycle de vie de l'attaque de bout en bout dans Microsoft 365, soulignant comment les acteurs de la menace sont pass\u00e9s d'une entr\u00e9e bas\u00e9e sur l'hame\u00e7onnage \u00e0 un acc\u00e8s persistant via l'enregistrement d'appareils.<\/p>\n L'\u00e9tape finale de l'attaque, l'enregistrement de l'appareil, cr\u00e9e une t\u00eate de pont que les acteurs de la menace exploitent pour \u00e9mettre des cartes-cadeaux, qu'ils utilisent ensuite \u00e0 des fins lucratives.<\/p>\n Les cartes-cadeaux sont tr\u00e8s attrayantes pour les acteurs motiv\u00e9s par le gain financier en raison de leur facilit\u00e9 d'utilisation et de leur mon\u00e9tisation rapide. Les acteurs de la menace revendent les cartes-cadeaux sur des forums du march\u00e9 gris \u00e0 des tarifs r\u00e9duits, permettant un flux de tr\u00e9sorerie quasi instantan\u00e9.<\/p>\n D'autres facteurs qui rendent les cartes-cadeaux attrayantes incluent :<\/p>\n Les environnements de vente au d\u00e9tail sont particuli\u00e8rement vuln\u00e9rables \u00e0 ce type d'attaque, car les syst\u00e8mes de cartes-cadeaux sont souvent accessibles \u00e0 un large \u00e9ventail d'utilisateurs internes, tels que les employ\u00e9s de magasin. Ces syst\u00e8mes peuvent prendre en charge plusieurs fournisseurs ou programmes, ce qui rend les voies d'acc\u00e8s plus larges et plus difficiles \u00e0 contr\u00f4ler.<\/p>\n La fraude \u00e0 la carte-cadeau combine furtivit\u00e9, rapidit\u00e9 et scalabilit\u00e9, surtout lorsqu'elle est associ\u00e9e \u00e0 un acc\u00e8s \u00e0 des environnements cloud o\u00f9 r\u00e9sident les flux d'\u00e9mission. Pour exploiter ces syst\u00e8mes, les acteurs de la menace ont besoin d'acc\u00e9der \u00e0 la documentation et aux communications internes. Ils peuvent s'en assurer en volant des identifiants et en maintenant une pr\u00e9sence discr\u00e8te et persistante dans les environnements Microsoft 365 des organisations cibl\u00e9es qui fournissent des services de cartes-cadeaux.<\/p>\n Dans la campagne que nous avons observ\u00e9e, les attaquants ont fait des tentatives d'acc\u00e8s r\u00e9p\u00e9t\u00e9es contre plusieurs applications d'\u00e9mission de cartes-cadeaux. Ils ont essay\u00e9 d'\u00e9mettre des cartes de grande valeur \u00e0 travers diff\u00e9rents programmes afin de les mon\u00e9tiser, et peut-\u00eatre d'utiliser les cartes comme garantie dans des sch\u00e9mas de blanchiment d'argent \u2014 transformant ainsi le vol num\u00e9rique en esp\u00e8ces intra\u00e7ables ou en pr\u00eats \u00e0 court terme. Ces op\u00e9rations ont \u00e9t\u00e9 mises en sc\u00e8ne de mani\u00e8re \u00e0 minimiser la journalisation et les traces forensiques, r\u00e9duisant ainsi les chances de d\u00e9tection rapide.<\/p>\n Les acteurs de la menace derri\u00e8re la campagne Jingle Thief investissent massivement dans la reconnaissance avant de lancer des attaques. Ils collectent des renseignements sur chaque cible, y compris l'image de marque, les portails de connexion, les mod\u00e8les d'e-mails et les conventions de nommage de domaine. Cela leur permet de cr\u00e9er un contenu d'hame\u00e7onnage tr\u00e8s convaincant qui semble authentique \u00e0 la fois pour les utilisateurs et les outils de s\u00e9curit\u00e9.<\/p>\n Les URL d'hame\u00e7onnage incluent souvent le nom de l'organisation, un outil ou un logiciel tiers de confiance, et des pages de destination qui imitent fid\u00e8lement les \u00e9crans de connexion l\u00e9gitimes. Cette approche d'ing\u00e9nierie sociale hautement personnalis\u00e9e augmente la probabilit\u00e9 de compromission et met en \u00e9vidence l'utilisation par les acteurs de techniques sophistiqu\u00e9es.<\/p>\n La figure 2 montre une page d'hame\u00e7onnage d'identifiants con\u00e7ue par les acteurs de la menace pour usurper l'identit\u00e9 d'un portail de connexion Microsoft 365 l\u00e9gitime, adapt\u00e9e \u00e0 l'image de marque de l'organisation victime.<\/p>\n Les acteurs de la menace derri\u00e8re la campagne Jingle Thief commencent g\u00e9n\u00e9ralement leurs op\u00e9rations par des attaques d'hame\u00e7onnage ou de smishing (hame\u00e7onnage par SMS) personnalis\u00e9es. Ces messages attirent les victimes vers de faux portails de connexion Microsoft 365 qui imitent les pages de connexion l\u00e9gitimes. Certains leurres usurpent l'identit\u00e9 d'organisations \u00e0 but non lucratif ou non gouvernementales (ONG), probablement pour donner une apparence de cr\u00e9dibilit\u00e9 et augmenter l'engagement des victimes.<\/p>\n Notamment, de nombreux messages sont d\u00e9livr\u00e9s \u00e0 l'aide de scripts d'envoi d'e-mails PHP auto-h\u00e9berg\u00e9s, souvent envoy\u00e9s depuis des serveurs WordPress compromis ou d\u00e9tourn\u00e9s, ce qui masque l'origine des attaquants et am\u00e9liore la d\u00e9livrabilit\u00e9.<\/p>\n Les acteurs de la menace emploient \u00e9galement un formatage d'URL trompeur, tel que :<\/p>\n https:\/\/organization[.]com@malicious.cl[\/]workspace<\/span><\/p>\n Bien que l'URL ci-dessus semble pointer vers le domaine l\u00e9gitime de l'organisation (organisation.com<\/span>), les navigateurs interpr\u00e8tent tout ce qui pr\u00e9c\u00e8de le @ comme des informations d'identification utilisateur, et naviguent en fait vers le domaine qui le suit (malicious.cl<\/span>). Cette tactique aide \u00e0 d\u00e9guiser la v\u00e9ritable destination du lien et augmente la probabilit\u00e9 que les victimes cliquent.<\/p>\n Apr\u00e8s avoir collect\u00e9 des identifiants dans la campagne que nous avons observ\u00e9e, les attaquants se sont authentifi\u00e9s directement aupr\u00e8s de Microsoft 365 et ont commenc\u00e9 \u00e0 naviguer dans l'environnement, sans qu'aucun logiciel malveillant ne soit n\u00e9cessaire. La figure 3 montre une tentative de smishing utilis\u00e9e pour collecter des identifiants, captur\u00e9e \u00e0 partir d'un journal d'envoi d'e-mails PHP malveillant de l'infrastructure des attaquants. Le message provenait d'une adresse IP marocaine et \u00e9tait envoy\u00e9 \u00e0 une passerelle SMS de Verizon (vtext.com<\/span>).<\/p>\n Apr\u00e8s l'acc\u00e8s initial, les attaquants derri\u00e8re Jingle Thief effectuent une reconnaissance approfondie au sein de l'environnement Microsoft 365, en se concentrant particuli\u00e8rement sur SharePoint et OneDrive. Ces services contiennent fr\u00e9quemment de la documentation interne relative aux op\u00e9rations commerciales, aux processus financiers et aux flux de travail informatiques.<\/p>\n Les acteurs de la menace recherchent :<\/p>\n La figure 4 montre les fichiers SharePoint auxquels les acteurs de la menace ont acc\u00e9d\u00e9 apr\u00e8s la compromission du compte, r\u00e9v\u00e9lant leur concentration sur la documentation interne li\u00e9e aux flux de travail des cartes-cadeaux et \u00e0 l'infrastructure d'acc\u00e8s \u00e0 distance.<\/p>\n Plut\u00f4t que d'\u00e9lever leurs privil\u00e8ges, les acteurs de la menace d\u00e9veloppent une connaissance de la situation en acc\u00e9dant aux donn\u00e9es facilement disponibles sur les utilisateurs compromis. Cette approche discr\u00e8te aide \u00e0 \u00e9chapper \u00e0 la d\u00e9tection tout en pr\u00e9parant le terrain pour de futures fraudes.<\/p>\n Au lieu de d\u00e9ployer des logiciels malveillants ou des frameworks de post-exploitation, Jingle Thief s'appuie sur l'hame\u00e7onnage interne pour \u00e9tendre sa pr\u00e9sence au sein des environnements cibles. Lors d'une tentative d'attaque contre l'un de nos clients, apr\u00e8s avoir compromis le compte Microsoft 365 d'un utilisateur, les attaquants ont envoy\u00e9 des e-mails d'hame\u00e7onnage depuis le compte l\u00e9gitime \u00e0 du personnel au sein de la m\u00eame organisation. Ces messages imitaient des notifications de service informatique ou des mises \u00e0 jour de tickets, tirant souvent parti des informations recueillies dans la documentation interne ou les communications pr\u00e9c\u00e9dentes pour para\u00eetre l\u00e9gitimes.<\/p>\n Leurres courants :<\/p>\n Ces e-mails renvoient vers de faux portails de connexion arborant l'identit\u00e9 de l'organisation, exploitant la confiance interne pour \u00e9chapper aux soup\u00e7ons et se propager lat\u00e9ralement.<\/p>\n La figure 5 montre un e-mail d'hame\u00e7onnage interne envoy\u00e9 depuis un compte compromis, usurpant une notification d'inactivit\u00e9 de ServiceNow pour inciter les utilisateurs \u00e0 saisir leurs identifiants.<\/p>\n Pour surveiller passivement les communications internes, les attaquants responsables de la campagne Jingle Thief cr\u00e9ent souvent des r\u00e8gles de bo\u00eete de r\u00e9ception pour transf\u00e9rer automatiquement les e-mails vers des adresses contr\u00f4l\u00e9es par l'attaquant.<\/p>\n Ils surveillent :<\/p>\n Cette approche r\u00e9duit le besoin d'interaction active de l'attaquant et aide \u00e0 maintenir la furtivit\u00e9. La figure 6 montre une alerte signalant la cr\u00e9ation d'une r\u00e8gle de transfert de bo\u00eete de r\u00e9ception malveillante, qui est l'une des tactiques furtives employ\u00e9es par ces acteurs de la menace pour surveiller les communications internes.<\/p>\n Pour couvrir leurs traces, les attaquants g\u00e8rent activement les dossiers de la bo\u00eete aux lettres :<\/p>\n Cela garantit que les victimes ne verront pas les messages d'hame\u00e7onnage ou les r\u00e9ponses, retardant la d\u00e9couverte \u00e0 la fois par les victimes et les d\u00e9fenseurs.<\/p>\n Les journaux d'audit Exchange de la figure 7 montrent les attaquants d\u00e9pla\u00e7ant les r\u00e9ponses aux e-mails d'hame\u00e7onnage du dossier Bo\u00eete de r\u00e9ception vers le dossier \u00c9l\u00e9ments supprim\u00e9s.<\/p>\n La plupart des intrusions que nous avons observ\u00e9es dans la campagne Jingle Thief reposaient sur des identifiants vol\u00e9s ou des jetons de session pour un acc\u00e8s temporaire. Cependant, les acteurs ont \u00e9galement d\u00e9montr\u00e9 des techniques pour \u00e9tablir une persistance \u00e0 plus long terme au sein des environnements compromis.<\/p>\n Dans certaines intrusions, les acteurs de la menace ont pris le contr\u00f4le de l'infrastructure d'identit\u00e9 en d\u00e9tournant les m\u00e9canismes l\u00e9gitimes de libre-service utilisateur et d'enregistrement d'appareils dans Microsoft Entra ID. Ces tactiques leur ont permis de maintenir l'acc\u00e8s m\u00eame apr\u00e8s la r\u00e9initialisation des mots de passe ou la r\u00e9vocation des sessions.<\/p>\n Les tactiques comprennent :<\/p>\n La figure 8 montre l'interface utilisateur pour enregistrer un appareil dans Microsoft Entra ID \u00e0 l'aide de l'application Authenticator. Les attaquants ont d\u00e9tourn\u00e9 ce processus l\u00e9gitime pour enr\u00f4ler silencieusement des appareils non autoris\u00e9s et maintenir un acc\u00e8s r\u00e9sistant au MFA.<\/p>\n L'objectif ultime de ces diverses tactiques \u2013 hame\u00e7onnage, contr\u00f4le de la bo\u00eete de r\u00e9ception, exfiltration d'e-mails et enregistrement d'appareils non autoris\u00e9s \u2013 est d'obtenir et de mon\u00e9tiser des cartes-cadeaux \u00e0 grande \u00e9chelle.<\/p>\n Les activit\u00e9s de la campagne que nous avons observ\u00e9es provenaient presque exclusivement d'adresses IP g\u00e9olocalis\u00e9es au Maroc. \u00c0 travers les incidents, les journaux Microsoft 365 ont montr\u00e9 des empreintes d'appareils et des comportements de connexion r\u00e9currents associ\u00e9s \u00e0 ces adresses IP. Contrairement \u00e0 de nombreux acteurs qui se cachent derri\u00e8re des VPN, ces acteurs de la menace n'ont souvent fait aucune tentative pour masquer leur origine, et n'ont que parfois utilis\u00e9 Mysterium VPN lors de l'acc\u00e8s aux comptes compromis.<\/p>\n Les m\u00e9tadonn\u00e9es du num\u00e9ro de syst\u00e8me autonome (ASN) des connexions correspondaient \u00e9galement de mani\u00e8re coh\u00e9rente aux fournisseurs de t\u00e9l\u00e9communications marocains, notamment :<\/p>\n En plus de l'infrastructure IP et ASN, Jingle Thief r\u00e9utilise des structures de domaine et d'URL distinctives \u00e0 travers les campagnes. Ces sch\u00e9mas r\u00e9currents dans la d\u00e9nomination de domaine et l'infrastructure soutiennent davantage l'attribution \u00e0 un groupe de menace bas\u00e9 au Maroc.<\/p>\n La campagne Jingle Thief d\u00e9montre une concentration claire sur les syst\u00e8mes d'\u00e9mission de cartes-cadeaux des grands d\u00e9taillants. Les attaquants ont cibl\u00e9 plusieurs applications d'\u00e9mission pour g\u00e9n\u00e9rer des cartes de grande valeur, probablement pour les revendre sur les march\u00e9s gris, ou comme actifs fongibles dans des cha\u00eenes de blanchiment d'argent. Les syst\u00e8mes de cartes-cadeaux sont souvent sous-surveill\u00e9s et largement accessibles en interne, ce qui en fait une extension attrayante des attaques bas\u00e9es sur l'identit\u00e9 : en compromettant les bons comptes, les acteurs de la menace peuvent \u00e9mettre et voler des cartes-cadeaux, tout en ne laissant presque aucune trace de leurs op\u00e9rations malveillantes.<\/p>\n Le cluster d'activit\u00e9 derri\u00e8re la campagne Jingle Thief recoupe l'activit\u00e9 d'acteurs de la menace publiquement connus sous le nom d'Atlas Lion. Ce cluster \u2014 suivi par l'Unit 42 sous le nom de CL-CRI-1032 \u2014 privil\u00e9gie l'abus d'identit\u00e9 aux logiciels malveillants, et exploite les services cloud de confiance plut\u00f4t que la compromission des terminaux. Leurs campagnes soulignent comment les attaquants peuvent op\u00e9rer enti\u00e8rement dans des environnements cloud, abusant des fonctionnalit\u00e9s l\u00e9gitimes pour l'hame\u00e7onnage, la persistance et la fraude.<\/p>\n En comprenant les tactiques utilis\u00e9es dans la campagne Jingle Thief, les d\u00e9fenseurs peuvent mieux prioriser la surveillance bas\u00e9e sur l'identit\u00e9 et s'adapter \u00e0 la transition de l'industrie vers le traitement de l'identit\u00e9 comme nouveau p\u00e9rim\u00e8tre de s\u00e9curit\u00e9. Comprendre le comportement des utilisateurs, les sch\u00e9mas de connexion et l'abus d'identit\u00e9 est de plus en plus essentiel pour une d\u00e9tection et une r\u00e9ponse pr\u00e9coces.<\/p>\n Les clients de Palo Alto Networks sont mieux prot\u00e9g\u00e9s contre cette activit\u00e9 avec le nouveau module Cortex Advanced Email Security<\/a>, ainsi que Cortex UEBA<\/a> et ITDR<\/a>.<\/p>\n Si vous pensez avoir \u00e9t\u00e9 compromis ou si vous avez une question urgente, contactez l'\u00e9quipe d'intervention sur incident de l'Unit 42<\/a> ou appelez :<\/p>\n Palo Alto Networks a partag\u00e9 ces d\u00e9couvertes avec les autres membres de la Cyber Threat Alliance (CTA). Les membres de la CTA utilisent ces renseignements pour d\u00e9ployer rapidement des protections \u00e0 leurs clients et pour perturber syst\u00e9matiquement les cyberacteurs malveillants. En savoir plus sur la Cyber Threat Alliance<\/a>.<\/p>\n Infrastructure marocaine (Signal d'attribution)<\/span><\/strong><\/p>\n Organisations ASN associ\u00e9es (G\u00e9olocalis\u00e9es au Maroc)<\/strong><\/p>\n Infrastructure am\u00e9ricaine (H\u00f4tes proxy potentiels ou compromis)<\/strong><\/p>\n Sch\u00e9mas d'URL d'hame\u00e7onnage\u00a0<\/strong><\/p>\n Le tableau 1 montre les alertes Cortex pour cette activit\u00e9, en utilisant Identity Analytics, y compris les indicateurs de compromission comportementaux (BIOC) et le module ITDR.<\/p>\n <\/p>\n","protected":false},"excerpt":{"rendered":" Les acteurs malveillants derri\u00e8re la campagne de fraude aux cartes cadeaux Jingle Thief ciblent le secteur du retail via des techniques de phishing et de smishing, maintenant un acc\u00e8s persistant dans les environnements cloud.<\/p>\n","protected":false},"author":366,"featured_media":161507,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"inline_featured_image":false,"footnotes":""},"categories":[8733,8724,8832],"tags":[9707,9379,9266,9708],"product_categories":[9041,9151],"coauthors":[8605,3774],"class_list":["post-161721","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-cybercrime-fr","category-cloud-cybersecurity-research-fr","category-threat-research-fr","tag-clcri1032-fr","tag-microsoft-fr","tag-phishing-fr","tag-smishing-fr","product_categories-cortex-fr","product_categories-unit-42-incident-response-fr"],"yoast_head":"\n![\"S\u00e9quence](\"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/10\/FR_Jingle-Thief.png\")
<\/a>Pourquoi les cartes-cadeaux ? La cible de choix<\/strong><\/h3>\n
\n
<\/a>Des attaques hautement cibl\u00e9es et personnalis\u00e9es<\/strong><\/h3>\n
![\"Capture](\"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/10\/word-image-537457-161721-2.png\")
<\/a>Acc\u00e8s initial : hame\u00e7onnage et hame\u00e7onnage par SMS pour obtenir des identifiants cloud<\/strong><\/h3>\n
![\"Capture](\"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/10\/word-image-267377-161503-3.png\")
<\/a>Reconnaissance dans le cloud : exploration de SharePoint et OneDrive \u00e0 la recherche d'informations sur les cartes-cadeaux<\/strong><\/h3>\n
\n
![\"Capture](\"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/10\/word-image-543564-161721-4.png\")
<\/a>Hame\u00e7onnage interne pour les mouvements lat\u00e9raux<\/strong><\/h3>\n
\n
![\"Une](\"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/10\/word-image-548046-161721-5.png\")
<\/a>Contr\u00f4ler la bo\u00eete de r\u00e9ception pour une exfiltration silencieuse d'e-mails<\/strong><\/h3>\n
\n
![\"Capture](\"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/10\/word-image-551424-161721-6.png\")
<\/a>Activit\u00e9 e-mail furtive : se cacher \u00e0 la vue de tous<\/strong><\/h3>\n
\n
![\"Capture](\"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/10\/word-image-554038-161721-7.png\")
<\/a>Dominer les appareils non autoris\u00e9s pour la persistance<\/strong><\/h3>\n
\n
![\"Capture](\"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/10\/word-image-556794-161721-8.png\")
<\/a>Remonter aux racines marocaines de Jingle Thief<\/h2>\n
\n
<\/a>Conclusion<\/h2>\n
\n
<\/a>Indicateurs de compromission<\/h2>\n
\n
\n
\n
\n
<\/a>Ressources suppl\u00e9mentaires<\/h2>\n
\n
<\/a>Alertes Cortex XDR\/XSIAM sur l'activit\u00e9 Jingle Thief<\/h2>\n
\n\n
\n Nom de l'alerte<\/strong><\/td>\n Source de l'alerte<\/strong><\/td>\n Technique MITRE ATT&CK<\/strong><\/td>\n<\/tr>\n \n R\u00e8gle de transfert de bo\u00eete de r\u00e9ception Exchange configur\u00e9e<\/a><\/td>\n XDR Analytics BIOC, Module Identity Threat (ITDR)<\/td>\n Dissimulation d'artefacts : R\u00e8gles de masquage d'e-mails (T1564.008)<\/td>\n<\/tr>\n \n Utilisateur a d\u00e9plac\u00e9 des messages envoy\u00e9s Exchange vers les \u00e9l\u00e9ments supprim\u00e9s<\/a><\/td>\n XDR Analytics, Module Identity Threat (ITDR)<\/td>\n Suppression d'indicateurs : Effacer les donn\u00e9es de la bo\u00eete aux lettres (T1070.008)<\/td>\n<\/tr>\n \n Premi\u00e8re connexion depuis un pays dans l'organisation<\/a><\/td>\n XDR Analytics BIOC, Identity Analytics<\/td>\n Compromission de comptes (T1586)<\/td>\n<\/tr>\n \n Premier acc\u00e8s SSO depuis un ASN dans l'organisation<\/a><\/td>\n XDR Analytics BIOC, Identity Analytics<\/td>\n Comptes valides : Comptes de domaine (T1078.002)<\/td>\n<\/tr>\n \n Voyageur impossible - SSO<\/a><\/td>\n XDR Analytics, Identity Analytics<\/td>\n Compromission de comptes (T1586)<\/td>\n<\/tr>\n \n Un utilisateur s'est connect\u00e9 depuis un nouveau pays<\/a><\/td>\n XDR Analytics BIOC, Identity Analytics<\/td>\n Compromission de comptes (T1586)<\/td>\n<\/tr>\n \n Premier acc\u00e8s SSO depuis un ASN pour l'utilisateur<\/a><\/td>\n XDR Analytics BIOC, Identity Analytics<\/td>\n Comptes valides : Comptes de domaine (T1078.002)<\/td>\n<\/tr>\n \n Un utilisateur s'est connect\u00e9 \u00e0 un VPN depuis un nouveau pays<\/a><\/td>\n XDR Analytics BIOC, Identity Analytics<\/td>\n Compromission de comptes (T1586)<\/td>\n<\/tr>\n \n Acc\u00e8s VPN avec un syst\u00e8me d'exploitation anormal<\/a><\/td>\n XDR Analytics BIOC, Identity Analytics<\/td>\n Comptes valides : Comptes de domaine (T1078.002)<\/td>\n<\/tr>\n \n Premier acc\u00e8s VPN depuis un ASN dans l'organisation<\/a><\/td>\n XDR Analytics BIOC, Identity Analytics<\/td>\n Comptes valides : Comptes de domaine (T1078.002)<\/td>\n<\/tr>\n \n Premier acc\u00e8s \u00e0 une ressource SSO dans l'organisation<\/a><\/td>\n XDR Analytics BIOC, Identity Analytics<\/td>\n Comptes valides : Comptes de domaine (T1078.002)<\/td>\n<\/tr>\n \n Acc\u00e8s SSO suspect depuis un ASN<\/a><\/td>\n XDR Analytics BIOC, Identity Analytics<\/td>\n Comptes valides : Comptes de domaine (T1078.002)<\/td>\n<\/tr>\n \n Une connexion possiblement risqu\u00e9e \u00e0 Azure<\/a><\/td>\n XDR Analytics BIOC, Identity Analytics<\/td>\n Compromission de comptes (T1586)<\/td>\n<\/tr>\n \n Utilisateur a tent\u00e9 de se connecter depuis un pays suspect<\/a><\/td>\n XDR Analytics BIOC, Identity Analytics<\/td>\n Compromission de comptes (T1586)<\/td>\n<\/tr>\n \n SSO avec un nouveau syst\u00e8me d'exploitation<\/a><\/td>\n XDR Analytics BIOC, Identity Analytics<\/td>\n Comptes valides : Comptes de domaine (T1078.002)<\/td>\n<\/tr>\n \n T\u00e9l\u00e9chargements massifs de fichiers depuis un service SaaS<\/a><\/td>\n XDR Analytics, Module Identity Threat (ITDR)<\/td>\n Donn\u00e9es depuis le stockage cloud (T1530)<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n